Cómo poner contraseña a carpetas en DirectAdmin (HTAccess)

¿Cansado de que cualquiera pueda entrar a tus carpetas privadas? Si tienes un hosting con DirectAdmin, proteger un directorio con contraseña es más fácil de lo que piensas. No necesitas ser un experto en programación, solo seguir unos pasos muy concretos que te voy a explicar a continuación.

Este proceso es fundamental para la ciberseguridad de tu web. Imagina que tienes un área de administración, estadísticas sensibles o simplemente quieres tener un espacio personal al que solo tú accedas. Con un simple archivo .htaccess y un archivo de claves, tendrás un candado digital infalible.

En esta guía extensa, no solo te diré cómo hacerlo, sino que entenderás por qué funciona, qué errores evitar y cómo solucionar los problemas más comunes. Al final, serás capaz de proteger carpeta DirectAdmin sin depender de nadie.

¿Por qué necesitas proteger un directorio?

Antes de ensuciarnos las manos, vamos a entender el "para qué". No es solo cuestión de privacidad, es una capa de seguridad DirectAdmin que evita accesos no autorizados.

Datos sensibles: Si almacenas copias de seguridad, archivos de configuración o datos de clientes, un acceso no autorizado sería un desastre.
Zonas de administración: Muchas veces, los paneles de control de aplicaciones (como WordPress) tienen carpetas de instalación que conviene blindar.
Proyectos en desarrollo: Si estás construyendo una web, puedes crear una zona privada para que tu cliente la revise antes de lanzarla al público.
Evitar el escaneo de bots: Los bots maliciosos rastrean rutas comunes. Al pedir contraseña, les pones una barrera adicional.

El método infalible: Crear el candado con .htaccess

La herramienta clave aquí es el archivo .htaccess. Es un archivo de configuración del servidor Apache que nos permite modificar el comportamiento de directorios específicos sin tocar la configuración global. Es el estándar para proteger carpeta DirectAdmin.

Vamos a hacerlo de dos maneras: una visual y sencilla (usando el administrador de archivos de DirectAdmin) y otra más técnica (usando FTP). Ambas llegan al mismo resultado.

Paso 1: Preparar el terreno con el Administrador de Archivos

Primero, accede a tu panel de DirectAdmin. Normalmente es algo como tudominio.com:2222. Una vez dentro, busca el icono de Administrador de Archivos (File Manager). Este es el explorador de archivos de tu hosting, pero con superpoderes.

Dentro del administrador, navega hasta la carpeta que quieres proteger. Te recomiendo que la ruta sea la raíz de tu dominio (normalmente domains/tudominio.com/public_html). Si quieres proteger una carpeta llamada "privada", entra en ella.

Paso 2: Crear el archivo de contraseñas (el candado físico)

El servidor necesita un lugar donde guardar las contraseñas cifradas. No podemos usar el archivo .htaccess para esto, así que crearemos un archivo llamado .htpasswd. Este es el que contiene los usuarios y sus claves hash (cifradas).

Aquí viene el truco: No puedes crear este archivo desde cero en un bloc de notas normal porque la contraseña debe estar cifrada. Si la pones en texto plano, el servidor la rechazará.

Para ello, en el mismo Administrador de Archivos, haz clic en Crear y luego en Crear archivo. Nombra el archivo como .htpasswd (el punto al inicio es importante, lo hace oculto). Ahora, necesitas generar el hash de la contraseña.

¿Cómo generar el hash sin herramientas externas? La forma más fácil es usar un generador online de confianza, pero ojo, cuidado con meter contraseñas reales en webs desconocidas. Te recomiendo usar un servicio de tu propia confianza o un script en PHP si tu servidor lo permite.

Un ejemplo de hash para la contraseña "miclave123" sería algo como: $apr1$vx3q8s0a$Qk8x9s0aB7s0aB7s0aB7s0aB7s0.

Formato del archivo .htpasswd:
Debe tener una línea por cada usuario, con el formato usuario:hash. Por ejemplo:

admin:$apr1$vx3q8s0a$Qk8x9s0aB7s0aB7s0aB7s0aB7s0

[!TIP]
No uses la misma contraseña que usas para tu correo o para tu banca online. Crea una única y segura para esta carpeta.

Paso 3: Crear el archivo .htaccess (el guardia de seguridad)

Ahora, dentro de la misma carpeta que quieres proteger (la que contiene el archivo .htpasswd), vamos a crear o editar el archivo .htaccess.

Si ya existe, ábrelo con el editor de texto del Administrador de Archivos. Si no existe, créalo en la raíz de esa carpeta.

El contenido del archivo .htaccess debe ser el siguiente:

AuthType Basic
AuthName "Zona Restringida"
AuthUserFile /home/usuario/domains/tudominio.com/public_html/privada/.htpasswd
Require valid-user

Vamos a desglosar cada línea:

AuthType Basic: Le dice al servidor que use la autenticación básica HTTP (la ventana emergente del navegador).
AuthName "Zona Restringida": Es el mensaje que verás en la ventana de inicio de sesión. Puedes poner el texto que quieras.
AuthUserFile /ruta/completa/al/archivo/.htpasswd: Esta es la línea más importante y donde más errores se cometen. Debe ser la ruta absoluta en el servidor, no la ruta web. Normalmente, en DirectAdmin es /home/ seguido de tu nombre de usuario del hosting, luego /domains/, luego tu dominio, luego /public_html/ y luego la carpeta. En el ejemplo, el usuario es usuario y el dominio tudominio.com.
Require valid-user: Le dice al servidor que cualquier usuario que esté en el archivo .htpasswd y ponga la contraseña correcta, puede entrar.

[!WARNING]
Si la ruta en AuthUserFile es incorrecta, te aparecerá un error 500 (Error Interno del Servidor) o un error 401 (No Autorizado) sin que puedas poner la contraseña. Revisa que la ruta sea exactamente la que ves en el Administrador de Archivos.

Paso 4: Guardar y probar

Guarda ambos archivos (.htaccess y .htpasswd). Ahora, abre tu navegador en modo incógnito y visita la URL de la carpeta protegida. Por ejemplo, tudominio.com/privada. Deberías ver una ventana emergente pidiendo usuario y contraseña.

Si has seguido los pasos, ¡enhorabuena! Ya tienes tu contraseña directorio DirectAdmin activada.

Método alternativo: Usando FTP (FileZilla)

Si te resulta más cómodo, puedes hacer lo mismo con un cliente FTP como FileZilla. La lógica es la misma, solo cambia la herramienta.

Conecta por FTP a tu servidor (normalmente en ftp.tudominio.com con tu usuario y contraseña de DirectAdmin).
Navega a la carpeta que quieres proteger dentro de public_html.
Crea el archivo .htpasswd en tu ordenador con el hash generado y súbelo.
Crea el archivo .htaccess con el contenido que te he dado y súbelo también.
Ajusta los permisos de ambos archivos a 644 (lectura y escritura para el propietario, lectura para el resto). Puedes hacer clic derecho sobre el archivo en FileZilla y seleccionar "Permisos de archivo".

[!INFO]
Los permisos 644 son los estándar para este tipo de archivos. No le des permisos 777 (lectura, escritura y ejecución para todos), ya que es un riesgo de seguridad.

Solución de problemas comunes (FAQ)

Aquí tienes las dudas que más nos llegan al soporte. Te las resuelvo de forma directa.

¿Por qué me da error 500 al poner la contraseña?

Este es el error más común. Casi siempre se debe a un problema con la ruta en AuthUserFile. Vuelve a revisarla. Otra causa puede ser que el archivo .htaccess tenga caracteres extraños o que el servidor no tenga habilitado el módulo de autenticación. Revisa también que no haya espacios en blanco al principio o al final del archivo.

¿Puedo proteger una carpeta dentro de otra protegida?

Sí, puedes. Pero ten en cuenta que si pides autenticación en la carpeta raíz, el usuario tendrá que introducir la contraseña de la raíz y luego, al entrar en la subcarpeta, se le pedirá la de esta última. Es un poco tedioso, pero se puede hacer. Para ello, solo tienes que crear un nuevo .htaccess y .htpasswd en la subcarpeta.

¿Cómo cambio la contraseña más adelante?

Solo tienes que volver a generar el hash de la nueva contraseña y reemplazarlo en el archivo .htpasswd. No es necesario tocar el .htaccess.

¿Esto protege mis archivos de ser descargados?

Sí, totalmente. Si la carpeta está protegida, el servidor no servirá ningún archivo de esa carpeta (ni imágenes, ni PDFs, ni código) sin antes pasar por la autenticación. Es una barrera total.

¿Qué pasa si olvido la contraseña?

No hay un botón de "olvidé mi contraseña" para esto. Tendrás que acceder por FTP o por el Administrador de Archivos de DirectAdmin, editar el archivo .htpasswd y cambiar el hash por uno nuevo.

¿Es lo mismo que la protección por IP?

No. La protección por IP solo permite el acceso desde ciertas direcciones IP. La autenticación por contraseña permite el acceso desde cualquier IP, siempre que se conozcan las credenciales. Son complementarias.

Consejos extra de seguridad para tu DirectAdmin

Más allá de proteger una carpeta, te doy algunos consejos para reforzar tu seguridad DirectAdmin.

Mantén actualizado tu software: Tanto DirectAdmin como las aplicaciones que uses (WordPress, Joomla, etc.) deben estar al día.
Usa contraseñas fuertes para tu panel: La contraseña de tu cuenta de DirectAdmin es la llave maestra de todo. Que no sea fácil de adivinar.
Activa la autenticación de dos factores (2FA): DirectAdmin ofrece esta opción. Actívala para que, incluso si roban tu contraseña, no puedan entrar.
Revisa los permisos de los archivos: Asegúrate de que los archivos críticos no tengan permisos 777.
Haz copias de seguridad: DirectAdmin te permite programar copias de seguridad automáticas. Úsalas. Si algo falla, podrás restaurar todo.

Conclusión

Proteger una carpeta con contraseña en DirectAdmin es una tarea sencilla que te aporta una gran tranquilidad y un plus de ciberseguridad. No tienes excusa para no hacerlo. Con el archivo .htaccess y el .htpasswd, has creado un muro infranqueable para curiosos y bots maliciosos.

Recuerda que la clave está en la ruta absoluta del AuthUserFile. Si dominas ese pequeño detalle, el resto es coser y cantar. Ya sea que uses el Administrador de Archivos o FTP, el resultado es el mismo: un acceso restringido y controlado.

Ahora que ya sabes cómo hacerlo, te animo a que practiques en una carpeta de prueba. Una vez que le cojas el truco, podrás aplicar este conocimiento a cualquier proyecto que necesite un extra de privacidad.

Si tienes alguna otra duda, aquí estamos para ayudarte. No dudes en consultar el resto de nuestras guías de ciberseguridad y uso de DirectAdmin. Y si en algún momento te hablan de "Syspanel", no te confundas: es el nuevo nombre de un panel similar (HestiaCP) que se accede por el puerto 2106, pero eso es otra historia.